論文の概要: Poisoned Skills: Propagating Jailbreaks Through Agent Markdown Files

• arxiv url: http://arxiv.org/abs/2610.37738v1
• Date: Tue, 27 Oct 2026 15:29:41 GMT
• ステータス: 翻訳完了
• システム内更新日: 2026-11-01 01:32:09.894029
• Title: Poisoned Skills: Propagating Jailbreaks Through Agent Markdown Files
• Title（参考訳）: 監禁されたスキル:エージェントのマークダウンファイルによる脱獄のプロパガンダ
• Abstract要約: マークダウンスキルファイルに埋め込まれたジェイルブレイクがエージェントを介して伝播し、禁止された行動を引き起こすかどうかを検討する。 ユーザが提供するマークダウンファイルからシステムプロンプトを組み立てるLangChainベースの質問応答エージェントを構築する。 不可視なゼロ幅文字ベースステルスペイロードと、グラファイム-音素変換に基づく音素ペイロードの2つのペイロード難読化戦略を評価する。
• 参考スコア（独自算出の注目度）: 0.04817097673385532
• License: http://creativecommons.org/licenses/by/4.0/
• Abstract: Modern agent frameworks allow users to provide Markdown files containing system prompts, tool descriptions, and skill definitions (e.g., SKILL.md), which are incorporated into the agent's context during initialization. In this work, we investigate whether this configuration mechanism can also serve as an injection channel: can a jailbreak embedded in a Markdown skill file propagate through an agent and induce prohibited behavior? To answer this question, we construct a LangChain-based question-answering agent whose system prompt is assembled from a user-provided Markdown file. We embed a jailbreak combining persona manipulation with a GPTFUZZER-based attack and evaluate its effectiveness across seven contemporary open-weight models using 270 forbidden questions spanning nine harm categories. Under a benign system prompt, the models exhibit near-complete refusal behavior, with a mean attack success rate (ASR) of just 0.5%. In contrast, the injected skill file raises the mean ASR to 45%, reaching 68.9% for individual models. We further evaluate two payload obfuscation strategies: an invisible zero-width character-based stealth payload and a phonetic payload based on grapheme-to-phoneme transformations. Neither outperforms the plain-text injection; notably, the phonetic variant reduces mean ASR to 30%. These findings identify Markdown skill files as an underexplored attack surface for AI agents and suggest that vulnerability to configuration-based jailbreaks depends more strongly on the underlying model than on the specific payload obfuscation technique.
• Abstract（参考訳）: 現代のエージェントフレームワークでは、システムプロンプト、ツール記述、スキル定義(例えば、SKILL.md)を含むMarkdownファイルを、初期化中にエージェントのコンテキストに組み込むことができる。 本稿では,この構成機構がインジェクションチャネルとして機能するかどうかを検討する。Markdownスキルファイルに埋め込まれたジェイルブレイクはエージェントを介して伝播し,禁止された動作を誘導できるのか? この質問に答えるために,ユーザが提供するMarkdownファイルからシステムプロンプトを組み立てるLangChainベースの質問応答エージェントを構築した。 GPTFUZERをベースとした攻撃とペルソナ操作を組み合わせたジェイルブレイクを組み込み,9つの有害カテゴリーにまたがる270の禁断質問を用いて,現代のオープンウェイトモデルに対して有効性を評価する。 良心的なシステムプロンプトの下では、モデルはほぼ完全な拒絶行動を示し、平均攻撃成功率(ASR)は0.5%である。 対照的に、注入されたスキルファイルは平均ASRを45%に引き上げ、個々のモデルで68.9%に達する。 さらに,ゼロ幅文字ベースステルスペイロードと,グラファイム-音素変換に基づく音素ペイロードの2つのペイロード難読化戦略を評価した。 いずれも平文の注入よりも優れておらず、特に音素の変種は平均 ASR を30% に下げる。 これらの結果から,MarkdownスキルファイルはAIエージェントの未探索な攻撃面として認識され,構成ベースのジェイルブレイクに対する脆弱性は,特定のペイロード難読化技術よりも基盤モデルに強く依存していることが示唆された。

関連論文リスト

• Analyzing Defensive Misdirection Against Model-Guided Automated Attacks on Agentic AI Systems [0.0]
  エージェントAIシステムは、命令を解釈し、外部データを処理し、ツールを呼び出し、他のエージェントと調整するための言語モデルコンポーネントにますます依存している。 本研究は、標的システムの確率モデル、防御機構、および攻撃者の自動判断による攻撃防御設定を解析する。
  論文  参考訳（メタデータ） (2026-06-18T16:50:28Z)
• Defending Jailbreak Attacks on Large Language Models via Manifold Trajectory Kinetics [50.36375380196006]
  ジェイルブレイクプロンプトは、大規模な言語モデルにおけるアライメントガードレールをバイパスすることができる。 先行検出アプローチは固定距離空間に大きく依存する。 この仮定は,意図によって無視されるが,安全関連キーワードを含む疑似悪質なプロンプトの下で破られることを示す。 本稿では, LLM を入力を出力に変換する運動系として扱う Manifold Trajectory Kinetics (MTK) を提案する。
  論文  参考訳（メタデータ） (2026-06-05T14:49:26Z)
• Trojan's Whisper: Stealthy Manipulation of OpenClaw through Injected Bootstrapped Guidance [23.059379933610163]
  ガイダンスインジェクション(Guidance Injection)は、ブートストラップのガイダンスファイルに敵の運用ストーリーを埋め込むステルス攻撃ベクターである。 エクスプロイト,ワークスペース破壊,特権エスカレーション,持続的バックドア設置など,13の攻撃カテゴリにまたがる26の悪意あるスキルを構築した。 我々の攻撃は16.4%から64.2%の確率で成功し、悪意のある行動の大半はユーザーの確認なしに自律的に実行される。
  論文  参考訳（メタデータ） (2026-03-20T14:17:56Z)
• The Trojan Knowledge: Bypassing Commercial LLM Guardrails via Harmless Prompt Weaving and Adaptive Tree Search [58.8834056209347]
  大規模言語モデル(LLM)は、有害な出力を誘導するために安全ガードレールをバイパスするジェイルブレイク攻撃に弱いままである。 CKA-Agent(Correlated Knowledge Attack Agent)は、ターゲットモデルの知識基盤の適応的木構造探索としてジェイルブレイクを再構成する動的フレームワークである。
  論文  参考訳（メタデータ） (2025-12-01T07:05:23Z)
• Hide Your Malicious Goal Into Benign Narratives: Jailbreak Large Language Models through Carrier Articles [10.109063166962079]
  LLM(Large Language Model)ジェイルブレイク(LLM)は、LLMの保護を回避し、安全な使用ガイドラインに反するコンテンツを生成する攻撃の一種である。 本稿では,禁止クエリをキャリア記事に戦略的に注入することで,ペイロードプロンプトを製作するブラックボックス・ジェイルブレイク手法を提案する。 私たちはJailbreakBenchを使って、100の異なるJailbreak目標に対して4つのターゲットモデルをテストするアプローチを評価しました。
  論文  参考訳（メタデータ） (2024-08-20T20:35:04Z)
• Dissecting Adversarial Robustness of Multimodal LM Agents [70.2077308846307]
  我々は、VisualWebArena上に現実的な脅威モデルを用いて、200の敵タスクと評価スクリプトを手動で作成する。 我々は,クロボックスフロンティアLMを用いた最新のエージェントを,リフレクションやツリーサーチを行うエージェントを含む,壊すことに成功している。 AREを使用して、新しいコンポーネントの追加に伴うロバスト性の変化を厳格に評価しています。
  論文  参考訳（メタデータ） (2024-06-18T17:32:48Z)
• AutoDAN: Interpretable Gradient-Based Adversarial Attacks on Large Language Models [55.748851471119906]
  LLM(Large Language Models)の安全性の整合性は、手動のジェイルブレイク攻撃や(自動)敵攻撃によって損なわれる可能性がある。 最近の研究は、これらの攻撃に対する防御が可能であることを示唆している。敵攻撃は無限だが読めないジベリッシュプロンプトを生成し、難易度に基づくフィルタによって検出できる。 両攻撃の強度をマージする,解釈可能な勾配に基づく対向攻撃であるAutoDANを導入する。
  論文  参考訳（メタデータ） (2023-10-23T17:46:07Z)
• AutoDAN: Generating Stealthy Jailbreak Prompts on Aligned Large Language Models [54.95912006700379]
  本稿では,大規模言語モデルに対する新たなジェイルブレイク攻撃であるAutoDANを紹介する。 AutoDANは、慎重に設計された階層型遺伝的アルゴリズムによって、ステルスなジェイルブレイクプロンプトを自動的に生成できる。
  論文  参考訳（メタデータ） (2023-10-03T19:44:37Z)

関連論文リストは本サイト内にある論文のタイトル・アブストラクトから自動的に作成しています。

指定された論文の情報です。
本サイトの運営者は本サイト（すべての情報・翻訳含む）の品質を保証せず、本サイト（すべての情報・翻訳含む）を使用して発生したあらゆる結果について一切の責任を負いません。